Nemusíte byť technik, aby ste odhadli, v akom stave je aplikácia, ktorú vaša firma používa. Stačí položiť správne otázky a počúvať, s akou istotou zaznie odpoveď.
Prejdite si týchto desať bodov. Pri každom si poznačte „áno“, „nie“ alebo „neviem“. Odpoveď „neviem“ počítajte ako „nie“, pretože z hľadiska rizika je to to isté.
1. Viete, aké osobné údaje aplikácia ukladá?
Nie približne, ale konkrétne. Mená, e-maily, telefónne čísla, adresy, doklady, platobné údaje, obsah správ a nahrané súbory.
Prečo sa pýtame: Bez tohto zoznamu nedokážete splniť základné povinnosti podľa GDPR ani odhadnúť, čo by sa stalo pri úniku.
2. Môže sa prihlásený používateľ dostať k dátam iného používateľa?
Otestujte to. Prihláste sa ako bežný zákazník, otvorte detail objednávky alebo profilu a v adrese stránky prepíšte číslo na iné.
Prečo sa pýtame: Toto je najčastejší závažný nález v aplikáciách postavených cez AI. Nevyžaduje žiadne zručnosti, stačí zvedavosť.
3. Počítajú sa cena a výsledná suma na serveri?
Ak si zákazník môže v prehliadači upraviť hodnotu, ktorú aplikácia prijme ako platnú, máte otvorenú cestu k finančnej strate.
Prečo sa pýtame: Aplikácia nesmie veriť ničomu, čo príde z prehliadača používateľa.
4. Existuje záznam o tom, kto čo v aplikácii urobil?
Kto sa prihlásil, kto zmenil údaj, kto stiahol export a kto zmazal záznam.
Prečo sa pýtame: Bez záznamov nezistíte, že sa niečo stalo, ani koho sa to týkalo. Pri ohlasovaní incidentu je to zásadné.
5. Viete, kde dáta fyzicky ležia?
Na ktorom hostingu, v ktorej databáze a v ktorej krajine? Pretekajú dáta cez niektorú AI službu? Ak áno, cez ktorú?
Prečo sa pýtame: Je to podklad pre zmluvy so sprostredkovateľmi aj pre odpoveď klientovi, ktorý sa opýta.
6. Existujú zálohy a skúsil ich niekto obnoviť?
Druhá polovica otázky je dôležitejšia než prvá. Záloha, ktorú nikto nikdy neobnovil, je len predpoklad, že zálohovanie funguje.
Prečo sa pýtame: Najbežnejším spôsobom, ako prísť o dáta, nie je útok. Je to chyba a chýbajúca možnosť vrátiť sa späť.
7. Dokáže aplikácia zmazať dáta konkrétneho človeka?
Nie ručným zásahom do databázy, ale pomocou bežnej funkcie. Vrátane záloh, logov a exportov.
Prečo sa pýtame: Na vybavenie práva na vymazanie platí lehota a nesplnená žiadosť je najčastejším dôvodom sťažnosti na úrade.
8. Sú prístupové účty vedené na firmu?
Hosting, databáza, doména, platobná brána aj AI nástroj. Na firemný e-mail so správcom, nie na osobnú adresu zamestnanca.
Prečo sa pýtame: Vo chvíli, keď autor odíde alebo sa s ním rozídete v zlom, toto rozhoduje o tom, či aplikáciu stále máte.
9. Dokáže aplikáciu prevziať niekto iný než ten, kto ju postavil?
Existuje popis, ako je aplikácia poskladaná? Vie niekto ďalší, kde čo je? Alebo všetko žije v hlave jedného človeka a v histórii chatu s AI nástrojom?
Prečo sa pýtame: Toto je najdrahšia položka zo všetkých desiatich. Nejde o bezpečnosť, ale o to, že sa z aplikácie stane čierna skrinka a každá zmena bude stáť násobne viac.
10. Skontroloval aplikáciu niekto, kto ju nestaval?
Ktokoľvek. Vývojár z inej firmy, kamarát s technickým zázemím alebo externá kontrola.
Prečo sa pýtame: Autor zo svojej podstaty nevidí vlastné slepé miesta. Vo firmách, ktoré vyvíjajú softvér, prechádza kód povinne druhým človekom. Pri aplikáciách postavených cez AI to nerobí takmer nikto.
Ako vyhodnotiť výsledok
8 až 10 odpovedí „áno“: Aplikácia je na tom lepšie než väčšina tých, ktoré vídame. Zvyšné body odporúčam doriešiť, ale nehorí to.
5 až 7 odpovedí „áno“: Typický stav. Aplikácia funguje a základ je v poriadku, chýba však vrstva, ktorá sa prejaví až v nezvyčajnej situácii. Je vhodná chvíľa na kontrolu, kým je lacná.
Menej než 5 odpovedí „áno“: Ak aplikáciu používajú ľudia mimo vašej firmy alebo sú v nej osobné údaje či peniaze, riešte to ako prioritu tohto mesiaca. Nie preto, že by aplikácia bola zlá, ale preto, že následky prípadnej chyby nesiete vy.
Väčšina odpovedí „neviem“: To samo osebe je výsledok. Znamená to, že firma prevádzkuje systém, o ktorom nemá prehľad, a rozhoduje o ňom naslepo.
Čo s tým ďalej
Prvých päť bodov zvládnete overiť sami počas jedného popoludnia. Body 6 až 10 vyžadujú niekoho, kto sa pozrie dovnútra.
Ak chcete mať odpovede na všetkých desať písomne a s odporúčaným poradím opráv, presne to VibeAudit robí.